Auteur Sujet: Application "StopCovid" pour tracer les contacts avec des malades Covid-19 (Lu 24120 fois)

DM61 · « **Réponse #60 le:** 30 avril 2020 à 18:50:03 »

Citation de: kgersen le 30 avril 2020 à 17:14:54

L'important c'est surtout de comprendre comment cela fonctionne et connaitre les risques et dérives associés.

Sur ce point, on est d'accord, après, chacun l’installe ou pas en connaissance de cause.

xillibit · « **Réponse #61 le:** 30 avril 2020 à 19:12:54 »

L'application stopcovid fait un carton sur l'Apple store mais c'est la version géorgienne : https://www.zdnet.fr/actualites/la-version-georgienne-de-stopcovid-fait-un-carton-sur-l-appstore-francais-39903027.htm

Cochonou · « **Réponse #62 le:** 30 avril 2020 à 19:28:55 »

Citation de: vivien le 30 avril 2020 à 09:44:29

Il me semble que dans le cas centralisé, le serveur a toutes les balises et il sait celles qui sont positives quand elle se déclare positive, ce qui lui permet de calculer si la personne a été suffisamment longtemps proche d'une balise positive pour lui notifier.

Je suis allé vérifier ici : https://www.inria.fr/sites/default/files/2020-04/Pr%C3%A9sentation%20du%20protocole%20Robert.pdf

On peut y lire:

Citer

Quelques jours plus tard, Alice présente les symp-tômes du Covid19 et se fait tester. Il s'avère qu'Alice a été contaminée depuis un certain temps déjà.
Pour aider à protéger les personnes qu’elle a pu rencontrer au cours des deux dernières semaines, Alice accepte de partager leurs pseudonymes avec la base de données centrale.
L'application de Charles envoie son pseudonyme à la base de données centrale plusieurs fois par jour. Charles reçoit une alerte sur son téléphone portable : au cours des 2 dernières semaines, il a été en contact avec une personne contaminée par le Covid19 ! Bernard reçoit la même alerte sur son téléphone portable.

Citer

QUELQU'UN D'AUTRE QUE SON MÉDECIN PEUT-IL APPRENDRE QU'ALICE A ÉTÉ INFECTÉE ?
Non. Le protocole ROBERT garantit que personne, à l'exception du médecin, n'a accès à cette information. Même la base de données centrale n’a pas l'informa-tion sur qui a été diagnostiqué positif au COVID-19. La base de données centrale ne reçoit que les pseudonymes temporaires de toutes les personnes qui ont été en contact avec une personne infectée. Dans notre exemple, la base de données centrale ne reçoit que les pseudonymes de Bernard et Charles, mais ne contient aucune information sur Alice.

vivien · « **Réponse #63 le:** 30 avril 2020 à 20:09:17 »

Les passages indiqués indiquent que la base ne sait pas qui sait qui est infecté. Oui elle ne connait pas le nom, mais elle connait les balises associées.

hwti · « **Réponse #64 le:** 30 avril 2020 à 21:35:46 »

Quelle que soit la solution (à moins peut-être d'avoir quelque chose de totalement décentralisé, ou de passer par TOR), au moment où une personne se déclare positive, le serveur a son IP. Donc il faut avoir confiance sur le fait qu'elle ne soit pas enregistrée dans un log quelque part.

En fonction de l'implémentation, la nature des échanges (un envoi, suivi de l'arrêt des vérifications régulières du statut) peut même révéler l'information à un observateur externe (le FAI par exemple).
Pour l'éviter, il faudrait que les vérifications régulières de statut soient bien à des moments aléatoires, et que leur trafic ressemble à l'envoi des contacts (de sorte qu'il soit impossible pour quelqu'un qui surveille le volume des échanges entre le téléphone et le serveur puisse faire la différence entre quelqu'un qui a été testé positif, et quelqu'un qui a arrêté d'utiliser l'application).

kgersen · « **Réponse #65 le:** 01 mai 2020 à 07:02:09 »

Citation de: hwti le 30 avril 2020 à 21:35:46

Quelle que soit la solution (à moins peut-être d'avoir quelque chose de totalement décentralisé, ou de passer par TOR), au moment où une personne se déclare positive, le serveur a son IP. Donc il faut avoir confiance sur le fait qu'elle ne soit pas enregistrée dans un log quelque part.

sauf si c'est le serveur de l'autorité sanitaire qui a son IP et personne d'autre. Dans la solution Apple/Google (DP3T) il faudrait donc que l'app de l'autorité envoie non pas directement au back-end d'Apple/Google mais a un back-end de l'autorité qui ensuite relais les balises a diffuser a Apple/Google.

Ainsi seule l'autorité sanitaire aurait les IP des gens qui se déclarent positifs via l'app (+ brouillage des échanges comme tu indiques pour éviter de détecter un 'post' 'je suis positif')

Le souci est que l'autorité doit avoir son propre back-end (ou relais) ce qui peut poser des problèmes de coûts , scaling et sécurité si des tiers sont impliqués (notamment des CDNs).

Cochonou · « **Réponse #66 le:** 01 mai 2020 à 07:30:28 »

Citation de: vivien le 30 avril 2020 à 20:09:17

Les passages indiqués indiquent que la base ne sait pas qui sait qui est infecté. Oui elle ne connait pas le nom, mais elle connait les balises associées.

Citer

Quelques jours plus tard, Alice présente les symptômes du Covid19 et se fait tester. Il s'avère qu'Alice a été contaminée depuis un certain temps déjà.
Pour aider à protéger les personnes qu’elle a pu rencontrer au cours des deux dernières semaines, Alice accepte de partager leurs pseudonymes avec la base de données centrale.
L'application de Charles envoie son pseudonyme à la base de données centrale plusieurs fois par jour. Charles reçoit une alerte sur son téléphone portable : au cours des 2 dernières semaines, il a été en contact avec une personne contaminée par le Covid19 ! Bernard reçoit la même alerte sur son téléphone portable.

Citer

QUELQU'UN D'AUTRE QUE SON MÉDECIN PEUT-IL APPRENDRE QU'ALICE A ÉTÉ INFECTÉE ?
Non. Le protocole ROBERT garantit que personne, à l'exception du médecin, n'a accès à cette information. Même la base de données centrale n’a pas l'information sur qui a été diagnostiqué positif au COVID-19. La base de données centrale ne reçoit que les pseudonymes temporaires de toutes les personnes qui ont été en contact avec une personne infectée. Dans notre exemple, la base de données centrale ne reçoit que les pseudonymes de Bernard et Charles, mais ne contient aucune information sur Alice.

Il me semble pourtant que ces passages indiquent clairement que ce que la base reçoit, ce sont les balises des personnes en contact avec des positifs, et pas celles des positifs. Qu'est ce qui te fait penser autrement ?
Alors bien sûr si l'on fait de l'analyse sur les messages reçus de la base, on peut se dire que si une balise est envoyée de nombreuses fois, elle a de fortes chances d'être positive. Et encore faut-il enregistrer le nombre d'envois.

hwti · « **Réponse #67 le:** 01 mai 2020 à 20:53:02 »

Citation de: kgersen le 01 mai 2020 à 07:02:09

sauf si c'est le serveur de l'autorité sanitaire qui a son IP et personne d'autre. Dans la solution Apple/Google (DP3T) il faudrait donc que l'app de l'autorité envoie non pas directement au back-end d'Apple/Google mais a un back-end de l'autorité qui ensuite relais les balises a diffuser a Apple/Google.

Ainsi seule l'autorité sanitaire aurait les IP des gens qui se déclarent positifs via l'app (+ brouillage des échanges comme tu indiques pour éviter de détecter un 'post' 'je suis positif')

Le souci est que l'autorité doit avoir son propre back-end (ou relais) ce qui peut poser des problèmes de coûts , scaling et sécurité si des tiers sont impliqués (notamment des CDNs).

Je viens de penser à une possibilité avec le système Apple/Google : une fois par jour (par exemple), l'appli pourrait envoyer non pas ses balises, mais des valeurs aléatoires. Ainsi, on a donc un message "XX est positif", le XX pouvant aussi bien être l'utilisateur qu'une personne imaginaire.

Le problème serait le volume de données à télécharger par les utilisateurs pour comparer avec les balises qu'ils ont reçues.
Ça imposerait probablement un protocole où on devrait envoyer les premiers octets des balises qu'on a vues pour filtrer ce qu'on reçoit.

Cochonou · « **Réponse #68 le:** 08 mai 2020 à 13:29:14 »

Vous l'attendiez (ou non), voici le code source de l'application du Royaume-Uni.

https://github.com/NHSX

C'est un modèle "centralisé" un peu plus intrusif que le modèle ROBERT, puisqu'il transmet également l'identifiant des malades au serveur central.

https://www.ncsc.gov.uk/blog-post/security-behind-nhs-contact-tracing-app

hwti · « **Réponse #69 le:** 08 mai 2020 à 15:08:21 »

Citation de: Cochonou le 08 mai 2020 à 13:29:14

C'est un modèle "centralisé" un peu plus intrusif que le modèle ROBERT, puisqu'il transmet également l'identifiant des malades au serveur central.

https://www.ncsc.gov.uk/blog-post/security-behind-nhs-contact-tracing-app

Leur idée semble être de déterminer le risque en fonction du nombre de contacts et de leur effet, ce qui nécessite effectivement de reconstituer des graphes (avec en plus l'heure des contacts).
Ils disent que le système ne voit pas les IP car il y a un front-end commercial pour le load-balancing et protéger contre les DDoS, mais ils n'évoquent pas la possibilité pour celui-ci de déduire des informations en fonction de la nature des échanges.

Au début de l'article, on pourrait croire que l'identifiant est généré en local, mais non, il est aussi connu du serveur dès l'inscription comme pour ROBERT.

Le "blob" envoyé ne change que tous les jours, et pas toutes les 15 min.
Ils indiquent que ça leur permet de donner des informations journalières aux utilisateurs sur le nombre de leurs contacts plus ou moins rapprochés. Ce n'est pas indiqué, mais je suppose que c'est parce qu'ils parlent de données générées localement dans l'application, qui sinon ne pourrait pas compter un contact de plus de 15 min.
Mais l'utilisateur a-t-il besoin qu'une application lui dise de combien de personnes il a été proche pendant plus de 15 min durant la journée ? Il devrait pouvoir le savoir de lui-même.

Ils indiquent que leur système permet d'autoriser les personnes à s'auto-diagnostiquer (et que sans ça ce serait très difficile de gérer l'épidémie), et qu'ils seraient capable de détecter les fausses déclarations. Mais je vois mal comment ça pourrait couvrir tous les cas, leur exemple est assez tordu avec un grand nombre de faux contacts, il n'évoquent pas le cas évident où l'attaquant se déclare malade après un vrai contact.

Cochonou · « **Réponse #70 le:** 08 mai 2020 à 15:31:10 »

Quelques infos intéressantes sur les techniques qu’utilise l’application pour accéder au Bluetooth même en arrière plan:

https://reincubate.com/blog/nhs-covid-19-background-tracing-details/

Steph · « **Réponse #71 le:** 10 mai 2020 à 21:39:23 »

Plus fort qu'une application, la gravure directe dans la peau du carnet de santé...
https://www.santenatureinnovation.com/carnet-sante-grave/